Heb je een cookiebanner nodig voor een korte link? Voor de redirect zelf niet - een gewone 301 of 302 die niets op het apparaat opslaat, is een dienst waar de gebruiker om vroeg. Je hebt toestemming nodig zodra de korte link een niet-essentiële cookie of een apparaat-ID plaatst of uitleest, voor retargeting of analytics over meerdere sites, omdat de ePrivacyrichtlijn die toestemming vereist voordat de opslag plaatsvindt.
Die ene regel verbergt twee afzonderlijke regels, en marketeers halen ze steeds door elkaar. De ePrivacyrichtlijn regelt het opslaan of uitlezen van iets op het apparaat van een gebruiker (de cookielaag). De AVG regelt wat je daarna met de persoonsgegevens doet (de laag van de rechtsgrond). Een korte link kan de ene regel raken, beide, of geen van beide, en weten welke bepaalt of een banner wettelijk vereist is of er gewoon uit gewoonte op is geplakt.
Dit is een artikel uit het compliancecluster, dus de regels zijn onderbouwd en de bronnen staan gelinkt voor je eigen juridisch adviseur. Voor het volledige kader erachter - wat de AVG van elke verkorter vraagt - loopt de cornerstone over de AVG voor URL-verkorters de relevante artikelen een voor een langs.
Het korte antwoord voor marketeers en DPO's
Toestemming gaat over opslag op het apparaat, niet over de link. Stel één vraag: zorgt een klik op de korte link ervoor dat er iets in de browser van de gebruiker wordt geschreven of uitgelezen dat niet strikt noodzakelijk is om de redirect uit te voeren?
- Zo nee - de klik lost alleen een bestemming op en verhoogt hooguit een teller aan de serverkant - dan is er voor de verkorter geen ePrivacy-toestemmingstrigger.
- Zo ja - een trackingcookie, een pixel, een fingerprint-ID vuurt af bij de redirectstap - dan is toestemming vereist, en die moet er zijn voordat de opslag plaatsvindt.
De AVG voegt daar een tweede vraag aan toe over de kliklog zelf, die bijna altijd persoonsgegevens bevat. Die twee vragen hebben verschillende antwoorden, en de rest van dit artikel behandelt ze om beurten.
Wanneer een korte link geen toestemming nodig heeft
Een redirect die geen cookie plaatst, valt aan de kant van "strikt noodzakelijk" van de ePrivacyrichtlijn. Artikel 5, lid 3, van Richtlijn 2002/58/EG stelt opslag vrij die "strictly necessary in order for the provider of an information society service explicitly requested by the subscriber or user to provide the service" is. Een link oplossen waarop de gebruiker bewust klikte, is die dienst. Voor die stap is geen banner verschuldigd.
De AVG-laag blijft wel van toepassing, want de kliklog bevat persoonsgegevens. Elke redirect kan een IP-adres en een user agent vastleggen, en het Hof van Justitie oordeelde in Breyer (C-582/14) dat een dynamisch IP-adres een persoonsgegeven is voor iedereen die de persoon erachter kan identificeren. Je hebt dus een rechtsgrond nodig voor de log, en voor geaggregeerd klikken tellen is dat meestal gerechtvaardigd belang onder artikel 6, lid 1, onder f - mits je de belangenafweging hebt gemaakt, bewaart wat nodig is en niet meer, en een korte bewaartermijn hanteert.
In de praktijk betekent dat dat je klikken kunt tellen, kunt zien welke campagne ze veroorzaakte en geografie op landniveau kunt rapporteren zonder iemand een cookie te laten accepteren - zolang de analytics geaggregeerd zijn en de identifiers niet zijn gebouwd om één persoon eruit te pikken. Daar hoort het meeste linktracking te zitten, en het is een groot deel van waarom privacyvriendelijke klikanalytics ooit werkbaar zijn.
Wanneer een korte link wel toestemming nodig heeft
De banner wordt verplicht op het moment dat een niet-essentiële cookie of vergelijkbare identifier wordt opgeslagen. Het Hof van Justitie legde de norm voor die toestemming vast in Planet49 (C-673/17): een vooraf aangevinkt vakje is geen toestemming, en de gebruiker moet vóór de opslag een duidelijke actieve handeling verrichten. De EDPB-richtsnoeren over toestemming scherpen dat verder aan - toestemming moet vrij gegeven, specifiek, geïnformeerd en even eenvoudig in te trekken als te geven zijn.
Bij korte links ontstaat hier een lastig timingprobleem. Plaatst je verkorter een retargetingcookie op zijn eigen redirectdomein, dan gebeurt die opslag bij de stap zelf, voordat de gebruiker je site en je toestemmingsbanner ooit bereikt. De cookie staat er al wanneer je consent management platform laadt. Wie hem plaatste, moet een geldige toestemming kunnen aantonen, en in die architectuur heeft niemand er een gevraagd. Dat is geen papierwerkkloof, het is een cookie zonder rechtsgrond - precies het patroon waarvoor toezichthouders boetes hebben opgelegd.
Doet een korte link dus iets van het volgende, dan zit je in toestemmingsgebied en moet je dat kunnen bewijzen:
- Een tracking- of retargetingcookie plaatsen bij de klik.
- Een apparaat-fingerprint of persistent ID lezen of schrijven.
- Een advertentiepixel van een derde laten afvuren via de redirect.
- Een profiel van het individu over sites heen opbouwen voor advertentietargeting.
Cookietoestemming vs. AVG-rechtsgrond - twee lagen
De fout die ik het vaakst zie, is "we hebben een rechtsgrond onder de AVG" behandelen alsof dat de cookievraag beslist. Dat doet het niet. De twee regels stapelen, en die van ePrivacy komt chronologisch eerst.
De ePrivacyrichtlijn vraagt: mag je dit op het apparaat opslaan of uitlezen? Voor alles wat niet essentieel is, is het antwoord alleen ja met voorafgaande toestemming, en geen enkele AVG-rechtsgrond vervangt die toestemming. Gerechtvaardigd belang kan het plaatsen van een marketingcookie niet legitimeren - de opslagstap vraagt hoe dan ook toestemming. Pas nadat je de opslagvraag hebt afgehandeld, stelt de AVG haar eigen vraag: nu je deze persoonsgegevens hebt, wat is je rechtsgrond om ze te verwerken, en heb je de verplichtingen rond transparantie, bewaartermijn en doorgifte nageleefd?
In die volgorde gelezen schikken de meeste linktrackingopstellingen zich snel. Cookieloze, geaggregeerde klikregistratie: één laag (gerechtvaardigd belang onder de AVG), geen banner. Retargeting met cookies: beide lagen (ePrivacytoestemming om de cookie te plaatsen, daarna AVG-toestemming als verwerkingsgrond), banner verplicht en die moet eerst afgaan.
Dwingt je huidige verkorter je het tweede patroon op terwijl je alleen campagneattributie wilde, dan is dat de moeite waard om op toolniveau op te lossen in plaats van het met een grotere banner toe te dekken. Elido houdt klikanalytics cookieloos en in de EU opgeslagen, zodat het gewone geval in de strook zonder banner blijft.
Zo houd je korte links licht qua toestemming
Je kunt niet elke verplichting wegnemen - als je retarget, vraag je toestemming, punt. Maar je kunt het gewone geval eenvoudig houden en het oppervlak waar een banner over moet gaan verkleinen.
- Kies een verkorter die klikken aan de serverkant registreert zonder cookie op het redirectdomein, zodat er bij de stap niets is om toestemming voor te vragen.
- Houd analytics geaggregeerd. Geografie op landniveau en campagnetellingen hoeven geen persoon eruit te pikken; profielen per gebruiker wel.
- Beperk en verkort. Kap IP-adressen af of hash ze waar mogelijk, en hanteer een bewaartermijn in weken in plaats van jaren, onderbouwd met een gedocumenteerde belangenafweging.
- Houd de data in de EU. Dataresidentie neemt de toestemmingsvraag niet weg, maar wel de aparte doorgifteanalyse die een Amerikaanse verkorter er bovenop zet - de kloof die de uitleg is Bitly AVG-conform behandelt, en dezelfde reden dat Google Analytics eigen AVG-vragen oproept.
- Zet de eerlijke toelichting in je privacyverklaring: wat de redirect logt, op welke grond en hoe lang.
Niets hiervan is juridisch advies voor jouw specifieke stack, en een verkorter die zich goed gedraagt ontslaat de bestemmingssite niet van haar eigen cookieverplichtingen. Maar het verplaatst de verkorter van "weer een leverancier waar mijn banner rekening mee moet houden" naar "een redirect die een klik logt en daar stopt". Voor de residentiekant van dezelfde beslissing behandelen dataresidentie in de EU voor marketing en het overzicht van de beste EU-URL-verkorters wie toezegt de data in de EU te houden.
Lees de cornerstone-serie
Dit hoort bij het cluster Compliance. De cornerstone is AVG voor URL-verkorters: wat je DPO echt wil zien - begin daar voor het kader per artikel, en gebruik daarna de trustpagina en solutions/compliance als inkoopgerichte documenten.
Gerelateerd op de blog
- AVG voor URL-verkorters: wat je DPO echt wil zien
- Is Bitly AVG-conform? Het eerlijke antwoord van een DPO
- Is Google Analytics AVG-conform?
- Dataresidentie in de EU voor marketingtools: wat je DPO echt vraagt
- De beste EU-URL-verkorters, gerangschikt op residentiehouding
- QR-codes en de AVG: wat een scan verzamelt en wat je verschuldigd bent
Veelgestelde vragen
Hebben korte links een cookiebanner nodig?
De redirect zelf niet - een gewone 301 of 302 die geen cookie plaatst, is een dienst waar de gebruiker om vroeg. Een banner is nodig zodra de verkorter bij de klik een niet-essentiële cookie of apparaat-ID opslaat of uitleest, bijvoorbeeld voor retargeting of analytics over meerdere sites, want de ePrivacyrichtlijn vereist toestemming voordat die opslag plaatsvindt.
Plaatst een URL-verkorter cookies?
Sommige wel en sommige niet. Diensten die draaien om retargeting en analytics over meerdere campagnes plaatsen doorgaans een trackingcookie of ID op het redirectdomein. Een privacyvriendelijke verkorter kan een klik aan de serverkant registreren zonder enige cookie, en dat is het verschil tussen een toestemmingsbanner nodig hebben of niet.
Mag linktracking onder de AVG zonder toestemming?
Geaggregeerd klikken tellen aan de serverkant kan steunen op gerechtvaardigd belang onder artikel 6, lid 1, onder f, als je een belangenafweging maakt en de bewaartermijn kort houdt, omdat een kliklog persoonsgegevens zoals IP-adressen bevat. Tracking die een individu over sites heen profileert, of die op een niet-essentiële cookie steunt, vraagt toestemming - zowel onder de ePrivacyrichtlijn voor de opslag als onder de AVG voor het profileren.
Zijn korte links persoonsgegevens onder de AVG?
De klikevents erachter meestal wel. Elke redirect kan een IP-adres en een user agent loggen, en het Hof van Justitie oordeelde in Breyer dat een dynamisch IP-adres een persoonsgegeven is in handen van een partij die de persoon kan identificeren. De klikstroom die een verkorter vastlegt valt dus onder de AVG, ook als de linktekst zelf anoniem is.
Wie is verantwoordelijk voor de toestemming, de marketeer of de verkorter?
Wie de cookie plaatst, moet zorgen dat er toestemming voor is. Plaatst je verkorter een trackingcookie op zijn redirectdomein voordat de gebruiker op je site komt, dan gebeurde die opslag buiten je banner om, en dat is de compliancekloof. Een verkorter die geen niet-essentiële cookies plaatst, houdt de verantwoordelijkheid waar je consent management platform haar echt kan dekken.
Probeer Elido
Plak een URL, krijg een werkende korte link
Geen aanmelding nodig. Link blijft 30 dagen actief. Meld je aan om hem voor altijd te bewaren.
Geen account nodig. Meld je gratis aan voor 50 links per maand.